JP4931220B2

JP4931220B2 - Detection apparatus, system, program, and detection method

Info

Publication number: JP4931220B2
Application number: JP2007061959A
Authority: JP
Inventors: 光司 ▲高▼野; 信之大庭; 佳民坂口
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2007-03-12
Filing date: 2007-03-12
Publication date: 2012-05-16
Anticipated expiration: 2027-03-12
Also published as: US20080263073A1; JP2008225759A; US8140915B2

Description

本発明は、検出装置、システム、プログラムおよび検出方法に関する。特に本発明は、情報処理装置上における監視対象タスクの実行において特異な動作が行われたか否かを検出する検出装置、システム、プログラムおよび検出方法に関する。 The present invention relates to a detection device, a system, a program, and a detection method. In particular, the present invention relates to a detection device, a system, a program, and a detection method for detecting whether or not a specific operation has been performed in execution of a monitoring target task on an information processing device.

制御システム等の情報処理装置に組み込まれる組込みソフトウェアの複雑化に伴い、ハードウェアおよびソフトウェアの検証およびデバック等に費やされる時間は、長期化している。そこで、ハードウェアおよびソフトウェアにおける、通常時とは異なる動作をする実行部分（特異点）を検出し、検出した特異点を中心に情報処理装置の動作を検証およびデバック等をすることが考えられる。これにより、特異な動作について重点的に検証およびデバックを行うことができるので、当該検証およびデバック等に費やされる合計時間を短縮することができる。 With the complexity of embedded software incorporated in an information processing apparatus such as a control system, the time spent for verifying and debugging hardware and software is becoming longer. Thus, it is conceivable to detect an execution part (singular point) in hardware and software that operates differently from the normal time, and to verify and debug the operation of the information processing apparatus around the detected singular point. As a result, verification and debugging can be performed with emphasis on unique operations, and thus the total time spent for the verification and debugging can be reduced.

特許文献１には、動作しているタスク名を一定時間間隔で記憶し、各タスクの実行時間の占有率を二項分布に基づき推定する発明が記載されている。特許文献２には、複数のタスクを並行して実行する計算機システムにおけるタスク毎の実行時間を測定する発明が記載されている。より詳しくは、特許文献２には、実行時間積算領域をタスク毎に設け、タスクの終了後に当該タスクの処理時間を実行時間積算領域に加算し、当該タスクに対して割り込んだ下位タスクがあるときは当該下位タスクの処理時間を実行時間積算領域から減算する発明が記載されている。 Patent Document 1 describes an invention in which names of operating tasks are stored at regular time intervals, and the occupation rate of each task is estimated based on a binomial distribution. Patent Document 2 describes an invention for measuring an execution time for each task in a computer system that executes a plurality of tasks in parallel. More specifically, in Patent Document 2, there is a subtask that has an execution time accumulation area for each task, adds the processing time of the task to the execution time accumulation area after the task is finished, and interrupts the task. Describes an invention for subtracting the processing time of the subordinate task from the execution time integration area.

特許文献３には、複数の標本点をクラスタリングする方法が記載されている。この方法においては、クラスタ内の標本点と当該クラスタの重心点との誤差を総和した第１総和値を、複数のクラスタに渡って総和した第２総和値を算出する。そして、この方法においては、クラスタ数を最大値から最小値に向けて変化させたときに第２総和値が急激に変化する箇所を挟む前後のいずれかのクラスタ数を最適クラスタ数に決定し、この最適クラスタ数となるように複数の標本点をクラスタリングする。 Patent Document 3 describes a method of clustering a plurality of sample points. In this method, a first total value obtained by summing errors between the sample points in the cluster and the barycentric point of the cluster is calculated as a second total value obtained by summing over a plurality of clusters. In this method, when the number of clusters is changed from the maximum value to the minimum value, the number of clusters before and after sandwiching the portion where the second total value changes rapidly is determined as the optimum cluster number, A plurality of sample points are clustered so that the optimum number of clusters is obtained.

特許文献４には、入力データを分類するクラスタ分類装置が記載されている。このクラスタ分類装置は、１次元の自己組織化特徴マッピングを用いて入力データに対するプロトタイプ群からなるマップを作成し、そのマップにより入力データを分類する。 Patent Document 4 describes a cluster classification device that classifies input data. The cluster classification device creates a map composed of prototypes for input data using one-dimensional self-organizing feature mapping, and classifies the input data based on the map.

特開平４−６８４５１号公報Japanese Patent Laid-Open No. 4-68451 特開平３−２１０６４３号公報JP-A-3-210463 特開２００３−２４２５０８号公報JP 2003-242508 A 特開平７−２３４８５３号公報Japanese Patent Laid-Open No. 7-234853

ところで、情報処理装置の動作の特異点を検出する場合、当該情報処理装置を長時間動作させたときの内部状態を記憶しておき、記憶した内部状態を網羅的にトレースする。しかしながら、この方法では、記憶する内部状態が膨大となり、効率が悪い。また、例えば車載エンジンの制御装置のようなリアルタイム動作が求められる情報処理装置の特異点を検出する場合、実際の装置に組み込まれるソフトウェアをなるべく変更しないことが望ましい。 By the way, when detecting the singular point of the operation of the information processing apparatus, the internal state when the information processing apparatus is operated for a long time is stored, and the stored internal state is traced exhaustively. However, with this method, the internal state to be stored becomes enormous and the efficiency is poor. For example, when detecting a singular point of an information processing device that requires real-time operation such as a control device for an in-vehicle engine, it is desirable that software incorporated in the actual device is not changed as much as possible.

そこで本発明は、上記の課題を解決することのできる検出装置、システム、プログラムおよび検出方法を提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。 Then, an object of this invention is to provide the detection apparatus, system, program, and detection method which can solve said subject. This object is achieved by a combination of features described in the independent claims. The dependent claims define further advantageous specific examples of the present invention.

上記課題を解決するために、本発明の第１の形態においては、情報処理装置上における監視対象タスクの実行において特異な動作が行われたか否かを検出する検出装置であって、すでに実行された監視対象タスクの実行時間を分類し、分類内に存在する最大実行時間を上限、分類内に存在する最小実行時間を下限とする複数のクラスタのそれぞれに対応して、当該クラスタに属する実行時間の最大値を上限、当該クラスタに属する実行時間の最小値を下限とする範囲を記憶するクラスタ記憶部と、情報処理装置上で監視対象タスクが新たに実行されたことに応じて、監視対象タスクの実行時間を取得する取得部と、新たに実行された監視対象タスクの実行時間が、いずれのクラスタに対応する範囲にも含まれないことを条件として、監視対象タスクの実行において特異な動作が行われたと判定する判定部とを備える検出装置、並びに、この検出装置と情報処理装置とを備えるシステムを提供する。 In order to solve the above-described problem, in the first embodiment of the present invention, a detection device that detects whether or not a specific operation has been performed in execution of a monitoring target task on an information processing device, which has already been executed. The execution time belonging to the cluster corresponding to each of the multiple clusters with the maximum execution time existing in the classification as the upper limit and the minimum execution time existing in the classification as the lower limit A cluster storage unit for storing a range with the maximum value of the upper limit as the upper limit and the minimum value of the execution time belonging to the cluster as the lower limit, and the monitoring target task according to the newly executed monitoring target task on the information processing device The acquisition target that acquires the execution time of the monitoring target and the execution time of the newly executed monitoring target task are not included in the range corresponding to any cluster. Detector and a a determination unit specific operation is performed in the execution of the disk, as well, to provide a system and a detection device and the information processing apparatus.

本発明の第２の形態においては、情報処理装置上における監視対象タスクの実行において特異な動作が行われたか否かを情報処理装置または他の情報処理装置により検出するプログラムであって、情報処理装置または他の情報処理装置を、すでに実行された監視対象タスクの実行時間を分類し、分類内に存在する最大実行時間を上限、分類内に存在する最小実行時間を下限とする複数のクラスタのそれぞれに対応して、当該クラスタに属する実行時間の最大値を上限、当該クラスタに属する実行時間の最小値を下限とする範囲を、情報処理装置または他の情報処理装置が備える記憶装置に記憶するクラスタ記憶部と、情報処理装置上で監視対象タスクが新たに実行されたことに応じて、監視対象タスクの実行時間を取得する取得部と、新たに実行された監視対象タスクの実行時間が、いずれのクラスタに対応する範囲にも含まれないことを条件として、監視対象タスクの実行において特異な動作が行われたと判定する判定部として機能させるプログラム、並びに、このプログラムが情報処理装置において実行されることにより実現される検出方法を提供する。
According to a second aspect of the present invention, there is provided a program for detecting, by an information processing device or another information processing device, whether or not a specific operation has been performed in execution of a monitoring target task on the information processing device. the apparatus or another information processing apparatus, already classified the execution time of the monitored tasks performed, the upper limit of the maximum execution time present in the classification, the plurality of clusters to lower the minimum execution time present in the classification Corresponding to each , a range in which the maximum value of the execution time belonging to the cluster is the upper limit and the minimum value of the execution time belonging to the cluster is the lower limit is stored in the storage device included in the information processing apparatus or other information processing apparatus A cluster storage unit, an acquisition unit for acquiring the execution time of the monitored task in response to the newly executed monitored task on the information processing device, and a new A program that functions as a determination unit that determines that a specific operation has been performed in the execution of the monitored task, on the condition that the execution time of the performed monitored task is not included in the range corresponding to any cluster, In addition, a detection method realized by executing this program in the information processing apparatus is provided.

なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。 The above summary of the invention does not enumerate all the necessary features of the present invention, and sub-combinations of these feature groups can also be the invention.

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。 Hereinafter, the present invention will be described through embodiments of the invention. However, the following embodiments do not limit the invention according to the scope of claims, and all combinations of features described in the embodiments are included. It is not necessarily essential for the solution of the invention.

図１は、本発明の実施形態に係る検出装置１０の構成を情報処理装置１００とともに示す。図２は、監視対象タスク１１０の実行時間の一例を示す。検出装置１０は、情報処理装置１００により実行される複数種類のタスクのうちの少なくとも１つの監視対象タスク１１０を予め定め、情報処理装置１００上における監視対象タスク１１０の実行において特異な動作が行われたか否かを検出する。 FIG. 1 shows a configuration of a detection apparatus 10 according to an embodiment of the present invention, together with an information processing apparatus 100. FIG. 2 shows an example of the execution time of the monitoring target task 110. The detection apparatus 10 predetermines at least one monitoring target task 110 among a plurality of types of tasks executed by the information processing apparatus 100, and a specific operation is performed in the execution of the monitoring target task 110 on the information processing apparatus 100. It is detected whether or not.

タスクは、情報処理装置１００の演算処理装置において実行される処理をいう。タスクは、例えば関数、プロセス、スレッド等も含む。また、情報処理装置１００は、組込みソフトウェアを実行するハードウェアであってよく、タスクは、当該組込みソフトウェアとして実行される関数、プロセス、スレッド等であってよい。例えば、情報処理装置１００は、車載エンジン等の車載機器の制御装置のような、リアルタイム動作が求められる組込みソフトウェアを実行する情報処理装置であってよい。 A task refers to a process executed in the arithmetic processing unit of the information processing apparatus 100. Tasks include, for example, functions, processes, threads, and the like. The information processing apparatus 100 may be hardware that executes embedded software, and the task may be a function, process, thread, or the like that is executed as the embedded software. For example, the information processing apparatus 100 may be an information processing apparatus that executes embedded software that requires real-time operation, such as a control apparatus for an in-vehicle device such as an in-vehicle engine.

タスクの特異な動作とは、一例として、当該タスクが情報処理装置１００により複数回実行された場合における通常の動作とは異なる動作をいう。タスクの特異な動作は、例えば、稀にしか発生しない動作、予め推測されていない動作、例外的な動作等を含む。例えば、当該タスクを呼び出したプログラムおよびハードウェア等、または当該タスクに異常が含まれている可能性がある場合、タスクは、特異な動作をする。なお、特異な動作は、必ずしも障害又は誤動作に該当するものではないが、該当する可能性が高いと考えられる。 An example of a task specific operation is an operation different from a normal operation when the task is executed a plurality of times by the information processing apparatus 100. The specific operation of the task includes, for example, an operation that occurs rarely, an operation that has not been estimated in advance, an exceptional operation, and the like. For example, when there is a possibility that an abnormality is included in the program or hardware that called the task, or the task, the task performs a specific operation. It should be noted that the unique operation does not necessarily correspond to a failure or malfunction, but is considered to have a high possibility of corresponding.

検出装置１０は、検出部２２と、取得部２４と、クラスタ生成部２６と、クラスタ記憶部２８と、クラスタマージ部３０と、判定部３２とを備える。検出部２２は、情報処理装置１００上で監視対象タスク１１０が複数回実行されたことに応じて、それぞれの実行毎の実行時間を検出する。 The detection apparatus 10 includes a detection unit 22, an acquisition unit 24, a cluster generation unit 26, a cluster storage unit 28, a cluster merge unit 30, and a determination unit 32. The detection unit 22 detects the execution time for each execution in response to the monitoring target task 110 being executed a plurality of times on the information processing apparatus 100.

タスクの実行時間は、図２に示すように、例えば当該タスクの実実行時間または処理時間であってよい。タスクの実実行時間は、当該タスクが演算処理装置により実行されていた実時間であり、他のタスクにより割り込まれている休止時間は含まない。タスクの処理時間は、当該タスクの起動タイミングから終了タイミングまでの時間であり、他のタスクにより割り込まれている休止時間を含む。 The task execution time may be, for example, the actual execution time or processing time of the task, as shown in FIG. The actual execution time of a task is the actual time that the task has been executed by the arithmetic processing unit, and does not include the pause time interrupted by other tasks. The task processing time is a time from the start timing to the end timing of the task, and includes a pause time interrupted by another task.

検出部２２は、一例として、ハードウェアインターフェイスを介して情報処理装置１００の実行時間を検出してよい。また、検出部２２は、一例として、情報処理装置１００上でプログラムが実行されることにより当該情報処理装置１００上で検出装置１０が実現される場合であれば、監視対象タスク１１０の実行時間をソフトウェアインターフェイスを介して検出してもよい。 For example, the detection unit 22 may detect the execution time of the information processing apparatus 100 via a hardware interface. For example, if the detection device 10 is realized on the information processing apparatus 100 by executing a program on the information processing apparatus 100, the detection unit 22 sets the execution time of the monitoring target task 110. You may detect via a software interface.

また、例えば、監視対象タスク１１０または情報処理装置１００のタスクスケジューラに対して、監視対象タスク１１０の起動タイミングにおいて所定のレジスタにフラグおよびタスクＩＤ等を書き込み、監視対象タスク１１０の終了タイミングにおいて当該レジスタに書き込まれたフラグおよびタスクＩＤ等を削除させる。そして、検出部２２は、所定のレジスタを一定タイミング毎に読み出すことにより監視対象タスク１１０についての実行時間を検出してもよい。また、検出部２２は、一例として、情報処理装置１００に対して、当該情報処理装置１００によるタスクの実行状態を呼び出すコマンドを定期的に発行し、当該コマンドに対する応答に基づき監視対象タスク１１０の実行時間検出してもよい。 Further, for example, a flag, a task ID, and the like are written to a predetermined register at the start timing of the monitoring target task 110 to the monitoring target task 110 or the task scheduler of the information processing apparatus 100, and the register at the end timing of the monitoring target task 110 The flag, task ID, etc. written in are deleted. And the detection part 22 may detect the execution time about the monitoring object task 110 by reading a predetermined register | resistor for every fixed timing. For example, the detection unit 22 periodically issues a command for calling an execution state of a task by the information processing apparatus 100 to the information processing apparatus 100, and executes the monitoring target task 110 based on a response to the command. You may detect time.

取得部２４は、情報処理装置１００上で監視対象タスク１１０が新たに実行されたことに応じて、監視対象タスク１１０の実行時間を取得する。取得部２４は、一例として、情報処理装置１００の動作中にリアルタイムで検出部２２を介して監視対象タスク１１０の実行時間を取得してよい。 The acquisition unit 24 acquires the execution time of the monitoring target task 110 in response to the new execution of the monitoring target task 110 on the information processing apparatus 100. For example, the acquisition unit 24 may acquire the execution time of the monitoring target task 110 via the detection unit 22 in real time during the operation of the information processing apparatus 100.

取得部２４は、測定期間中における情報処理装置１００による監視対象タスク１１０の全ての実行についての実行時間を取得するのが好ましい。もっとも、取得部２４は、例えば一定期間毎に実行時間を取得するといったように、測定期間中における監視対象タスク１１０の全ての実行のうちの一部分の実行についての実行時間を取得してもよい。 The acquisition unit 24 preferably acquires execution times for all executions of the monitoring target task 110 by the information processing apparatus 100 during the measurement period. But the acquisition part 24 may acquire the execution time about a part execution of all the executions of the monitoring object task 110 during a measurement period, for example, acquiring an execution time for every fixed period.

クラスタ生成部２６は、すでに実行された監視対象タスク１１０の複数の実行時間をその値の大きさに応じて分類した少なくとも１つのクラスタを生成する。クラスタ記憶部２８は、すでに実行された監視対象タスク１１０の実行時間を分類した各クラスタに対応して、当該クラスタに属する実行時間の範囲を記憶する。 The cluster generation unit 26 generates at least one cluster in which a plurality of execution times of the monitoring target task 110 that have already been executed are classified according to the magnitude of the values. The cluster storage unit 28 stores a range of execution times belonging to the cluster corresponding to each cluster in which the execution times of the monitoring target tasks 110 that have already been executed are classified.

クラスタ記憶部２８は、それぞれのクラスタに属する実行時間の最大値、最小値および平均値を、実行時間の範囲として記憶する。クラスタマージ部３０は、一のクラスタに属する実行時間と当該一のクラスタに隣接するクラスタに属する実行時間が予め定められた値よりも近接したことを条件として、当該一のクラスタと隣接するクラスタとを結合して１つのクラスタとする。 The cluster storage unit 28 stores the maximum value, minimum value, and average value of execution times belonging to each cluster as a range of execution times. The cluster merging unit 30 is configured so that the execution time belonging to one cluster and the execution time belonging to the cluster adjacent to the one cluster are closer than a predetermined value, and the cluster adjacent to the one cluster Are combined into one cluster.

判定部３２は、取得部２４により取得された新たに実行された監視対象タスク１１０の実行時間が、クラスタ記憶部２８により記憶されたいずれのクラスタに対応する範囲にも含まれないことを条件として、監視対象タスク１１０の実行において特異な動作が行われたと判定する。判定部３２は、特異な動作が行われたと判定した場合、判定結果を外部に出力する。 The determination unit 32 is provided on the condition that the execution time of the newly executed monitoring target task 110 acquired by the acquisition unit 24 is not included in the range corresponding to any cluster stored by the cluster storage unit 28. Then, it is determined that a unique operation has been performed in the execution of the monitoring target task 110. If the determination unit 32 determines that a specific operation has been performed, the determination unit 32 outputs the determination result to the outside.

このような検出装置１０によれば、情報処理装置１００上における監視対象タスク１１０の実行において特異な動作が行われたか否かを、簡単な構成で検出することができる。 According to such a detection device 10, it is possible to detect whether or not a specific operation has been performed in the execution of the monitoring target task 110 on the information processing device 100 with a simple configuration.

図３は、実行時刻をＸ軸とし、実行時間をＹ軸とした２次元空間上に、情報処理装置１００上において複数回実行された監視対象タスク１１０の各実行時刻に対する実行時間の一例をプロットした図を示す。監視対象タスク１１０は、処理に分岐条件（例えば、ＩＦ−ＴＨＥＮ−ＥＬＳＥ処理）またはループ回数が条件に応じて変化するループ処理等が含まれている場合、設定される条件によって実行時間が異なる。このような場合、監視対象タスク１１０の実行時間は、複数の値を中心に分布する。例えば、図３に示した例の場合、監視対象タスク１１０の実行時間は、１１μ秒、１９μ秒、２７μ秒、３５μ秒、４３μ秒、５２μ秒、６０μ秒の７つの値の近傍に集中している。 FIG. 3 plots an example of the execution time for each execution time of the monitoring target task 110 executed a plurality of times on the information processing apparatus 100 in a two-dimensional space with the execution time as the X axis and the execution time as the Y axis. The figure is shown. When the process includes a branch condition (for example, IF-THEN-ELSE process) or a loop process in which the number of loops changes according to the condition, the monitoring target task 110 has an execution time that differs depending on the set condition. In such a case, the execution time of the monitoring target task 110 is distributed around a plurality of values. For example, in the example shown in FIG. 3, the execution time of the monitoring target task 110 is concentrated in the vicinity of seven values of 11 μsec, 19 μsec, 27 μsec, 35 μsec, 43 μsec, 52 μsec, and 60 μsec. Yes.

ここで、監視対象タスク１１０が特異な動作をした場合、実行時間は、複数の値を中心に分布した複数の範囲のいずれからも外れた値となる。そこで、検出装置１０においては、監視対象タスク１１０の複数の実行時間をその値の大きさに応じて分類したクラスタを生成する。そして、検出装置１０は、いずれのクラスタにも属しない実行時間が新たに発生した場合、情報処理装置１００上における監視対象タスク１１０の実行において特異な動作が発生したと判定する。 Here, when the monitoring target task 110 performs a peculiar operation, the execution time becomes a value out of any of a plurality of ranges distributed around a plurality of values. Therefore, the detection apparatus 10 generates a cluster in which a plurality of execution times of the monitoring target task 110 are classified according to the size of the values. And when the execution time which does not belong to any cluster newly generate | occur | produces, the detection apparatus 10 determines with the specific operation | movement having generate | occur | produced in execution of the monitoring object task 110 on the information processing apparatus 100. FIG.

図３に示した例の場合であれば、検出装置１０は、１１μ秒、１９μ秒、２７μ秒、３５μ秒、４３μ秒、５２μ秒、６０μ秒のそれぞれの値を略中心とする７つのクラスタＣ１〜Ｃ７を生成する。そして、検出装置１０は、新たに取得された実行時間がこれらのクラスタＣ１〜Ｃ７のいずれかに属するか否かを判定することにより、監視対象タスク１１０の実行において特異な動作が発生したか否かを判定する。 In the case of the example shown in FIG. 3, the detection apparatus 10 includes seven clusters C1 that are substantially centered at respective values of 11 μs, 19 μs, 27 μs, 35 μs, 43 μs, 52 μs, and 60 μs. ~ C7 is generated. Then, the detection apparatus 10 determines whether or not a specific operation has occurred in the execution of the monitoring target task 110 by determining whether or not the newly acquired execution time belongs to any of these clusters C1 to C7. Determine whether.

図４は、実行時刻をＸ軸とし、実行時間をＹ軸にとした２次元空間上に、ある一つのクラスタＣｘに属する複数の実行時間の一例をプロットした一例を示す。クラスタ記憶部２８は、クラスタ生成部２６により生成された各クラスタに対応して、すでに実行された監視対象タスク１１０の実行時間の最大値、最小値、および平均値を記憶する。クラスタ記憶部２８は、各クラスタに属する実行時間の最大値および最小値を記憶することにより、採取された実行時間が当該クラスタに属するか否かを判定部３２に判断させることができる。さらに、クラスタ記憶部２８は、最大値、最小値および平均値を記憶することにより、隣接する２つのクラスタを結合して１つのクラスタとするか否かをクラスタマージ部３０に判断させることができる。 FIG. 4 shows an example in which an example of a plurality of execution times belonging to a certain cluster Cx is plotted on a two-dimensional space with the execution time as the X axis and the execution time as the Y axis. The cluster storage unit 28 stores the maximum value, minimum value, and average value of the execution time of the monitoring target task 110 that has already been executed, corresponding to each cluster generated by the cluster generation unit 26. The cluster storage unit 28 can cause the determination unit 32 to determine whether the collected execution time belongs to the cluster by storing the maximum value and the minimum value of the execution time belonging to each cluster. Further, the cluster storage unit 28 can store the maximum value, the minimum value, and the average value, thereby allowing the cluster merge unit 30 to determine whether two adjacent clusters are combined into one cluster. .

これに加えて、クラスタ記憶部２８は、各クラスタに対応して、すでに実行された監視対象タスク１１０の実行時間の採取回数を記憶してもよい。これにより、隣接する２つのクラスタを結合して１つのクラスタとする場合、クラスタマージ部３０に新たなクラスタの平均値を算出させることができる。 In addition to this, the cluster storage unit 28 may store the number of times of execution time of the monitoring target task 110 that has already been executed, corresponding to each cluster. Thereby, when two adjacent clusters are combined into one cluster, the cluster merge unit 30 can calculate the average value of the new clusters.

また、クラスタ生成部２６は、監視対象タスク１１０の実行時間の採取を開始してから予め定められた期間（学習期間）の間に採取された実行時間を分類して、少なくとも１つのクラスタを生成する。または、クラスタ生成部２６は、監視対象タスク１１０の実行時間の採取を開始してから予め定められた回数（学習回数）分の実行時間を分類して少なくとも１つのクラスタを生成してもよい。 Further, the cluster generation unit 26 generates at least one cluster by classifying the execution times collected during a predetermined period (learning period) after starting the collection of the execution time of the monitoring target task 110. To do. Alternatively, the cluster generation unit 26 may generate at least one cluster by classifying execution times for a predetermined number of times (the number of learning times) after starting to collect the execution time of the monitoring target task 110.

さらに、判定部３２は、一例として、予め定められた学習期間の経過後に採取された実行時間、または、予め定められた学習回数分以降の実行時間について、監視対象タスク１１０の実行において特異な動作が行われたか否かを検出する。すなわち、判定部３２は、学習期間または学習回数より前において、情報処理装置１００の実行において特異な動作が行われたか否かを検出しないようにしてもよい。これにより検出装置１０によれば、学習期間中に生成されたクラスタに属する実行時間については特異な動作が行われたとして検出しないようにすることができる。 Furthermore, as an example, the determination unit 32 performs an operation that is unique in the execution of the monitoring target task 110 with respect to the execution time collected after the elapse of a predetermined learning period or the execution time after the predetermined number of times of learning. It is detected whether or not. That is, the determination unit 32 may not detect whether or not a specific operation has been performed in the execution of the information processing apparatus 100 before the learning period or the number of learning times. Thereby, according to the detection apparatus 10, it is possible to prevent the execution time belonging to the cluster generated during the learning period from being detected as a specific operation being performed.

また、クラスタ生成部２６は、特異な動作が行われたと判定部３２により判定されたことに応じて、これまでに生成されたクラスタに加えて新たなクラスタを生成してよい。そして、クラスタ生成部２６は、いずれのクラスタに対応する範囲にも含まれないと判断された実行時間を新たなクラスタに分類してよい。 Further, the cluster generation unit 26 may generate a new cluster in addition to the clusters generated so far in response to the determination by the determination unit 32 that a specific operation has been performed. Then, the cluster generation unit 26 may classify the execution time determined not to be included in the range corresponding to any cluster into a new cluster.

このように新たなクラスタを生成することにより、判定部３２は、以後、同様な実行時間が採取された場合に、特異な動作として判定をしない。これにより、検出装置１０によれば、同様の特異な動作が複数回行われた場合および学習期間（学習回数）中において発生しなかったが特異ではない動作が行われた場合等に、内部状態を重複して保存させないので、効率良く情報処理装置１００の検証およびデバック等をすることができる。 By generating a new cluster in this way, the determination unit 32 does not determine as a unique operation when a similar execution time is collected thereafter. Thereby, according to the detection apparatus 10, when the same unique operation is performed a plurality of times, or when an operation that does not occur but is not unique during the learning period (the number of learning) is performed, the internal state Are not stored redundantly, the information processing apparatus 100 can be efficiently verified and debugged.

なお、特異な動作が行われたと判定されたことに応じて新たなクラスタを生成すること、および、近接したクラスタ同士を結合して１つのクラスタとすることを条件として、検出装置１０は、クラスタ数を０とした状態から、特異な動作が行われたか否かの検出を開始してよい。これにより、検出装置１０は、学習期間（または学習回数）を設けずに、特異な動作の検出を開始することができる。 Note that the detection device 10 is configured to generate a new cluster in response to the determination that a specific operation has been performed and to combine adjacent clusters into one cluster. Detection of whether or not a specific operation has been performed may be started from a state where the number is zero. Thereby, the detection apparatus 10 can start detection of a specific action without providing a learning period (or the number of learning times).

もっとも、この場合、検出装置１０は、動作開始直後における特異な動作の検出頻度が高くなる。しかし、学習期間（または学習回数）に相当する期間が経過した後には、検出装置１０は、学習期間（または学習回数）を設けた場合と同様に特異な動作を検出することができる。 However, in this case, the detection device 10 has a high frequency of detection of a specific action immediately after the start of the action. However, after a period corresponding to the learning period (or the number of learnings) has elapsed, the detection apparatus 10 can detect a specific operation as in the case where the learning period (or the number of learnings) is provided.

図５は、本実施形態に係るクラスタ生成部２６の構成の一例を示す。クラスタ生成部２６は、一例として、学習期間（または学習回数）の間に採取された実行時間を、学習期間（または学習回数）の経過後に一括して分類してクラスタを生成してよい。 FIG. 5 shows an example of the configuration of the cluster generation unit 26 according to the present embodiment. As an example, the cluster generation unit 26 may classify the execution times collected during the learning period (or the number of learnings) in a lump after the learning period (or the number of learnings) elapses to generate a cluster.

この場合において、クラスタ生成部２６は、一例として、実行時間記憶部４２と、分類部４４とを有してよい。実行時間記憶部４２は、予め定められた学習期間の間に採取された実行時間、または、予め定められた学習回数分の実行時間を順次記憶する。分類部４４は、予め定められた学習期間の間に採取されたそれぞれの実行時間、または、予め定められた学習回数分の実行時間をクラスタに分類する。分類部４４は、学習期間中、または学習回数分の順次記憶した実行時間を、１次元に分布させた実行時間の差の最大値に対して、予め定められた基準比率未満であることを条件に分類する方法を用いて、クラスタを生成してもよい。 In this case, the cluster generation unit 26 may include an execution time storage unit 42 and a classification unit 44 as an example. The execution time storage unit 42 sequentially stores execution times collected during a predetermined learning period or execution times for a predetermined number of learning times. The classification unit 44 classifies each execution time collected during a predetermined learning period or a predetermined number of learning times into a cluster. The classification unit 44 has a condition that the execution time stored sequentially during the learning period or the number of times of learning is less than a predetermined reference ratio with respect to the maximum value of the difference in execution time distributed in one dimension. Clusters may be generated by using a method of classifying them.

これにより、クラスタ生成部２６によれば、学習期間中の全データを、発生順序とは無関係に最適にクラスタリングすることができる。なお、検出装置１０は、クラスタ生成部２６により実行時間を採取している期間においては、特異な動作の検出をマスクしてよい。 Thereby, according to the cluster production | generation part 26, all the data in a learning period can be clustered optimally irrespective of generation | occurrence | production order. Note that the detection apparatus 10 may mask detection of a specific action during a period when the execution time is collected by the cluster generation unit 26.

図６は、本実施形態に係る検出装置１０の処理フローを示す。検出装置１０は、情報処理装置１００の動作中において、ステップＳ１００１〜Ｓ１００２の処理を実行する。 FIG. 6 shows a processing flow of the detection apparatus 10 according to the present embodiment. The detection apparatus 10 executes the processes of steps S1001 to S1002 during the operation of the information processing apparatus 100.

まず、取得部２４は、情報処理装置１００上における監視対象タスク１１０の実行毎に、当該実行における監視対象タスク１１０の実行時間を取得する（Ｓ１００１）。取得部２４により実行時間が取得されると、次に、判定部３２は、取得された実行時間に基づき、監視対象タスク１１０の当該実行において特異な動作が行われたか否かを判定する（Ｓ１００２）。そして、検出装置１０は、ステップＳ１００１およびＳ１００２の処理を、監視対象タスク１１０の実行毎に繰り返す。 First, for each execution of the monitoring target task 110 on the information processing apparatus 100, the acquisition unit 24 acquires the execution time of the monitoring target task 110 in the execution (S1001). When the execution time is acquired by the acquisition unit 24, the determination unit 32 next determines whether or not a specific operation has been performed in the execution of the monitoring target task 110 based on the acquired execution time (S1002). ). Then, the detection apparatus 10 repeats the processes of steps S1001 and S1002 every time the monitoring target task 110 is executed.

図７は、図６のステップＳ１００２における処理フローの詳細の一例を示す。図８は、図７のステップＳ１１０２における処理の一例を示す。図９は、図７のステップＳ１１０３およびＳ１１０４における処理の一例を示す。図１０は、図７のステップＳ１１０５およびＳ１１０６における処理の一例を示す。 FIG. 7 shows an example of the details of the processing flow in step S1002 of FIG. FIG. 8 shows an example of processing in step S1102 of FIG. FIG. 9 shows an example of processing in steps S1103 and S1104 of FIG. FIG. 10 shows an example of processing in steps S1105 and S1106 of FIG.

まず、判定部３２は、取得部２４により取得された実行時間がいずれのクラスタに対応する範囲に含まれていないかを判断する（Ｓ１１０１）。判定部３２は、取得された実行時間が、各クラスタの最大値以下且つ最小値以上の範囲に含まれていなければ、クラスタに対応する範囲に含まれていないと判断する（Ｓ１１０１のＹｅｓ）。また、判定部３２は、取得された実行時間が、クラスタ記憶部２８により記憶されたいずれかクラスタの最大値以下且つ最小値以上の範囲に含まれていれば、クラスタに対応する範囲に含まれていると判断する（Ｓ１１０１のＮｏ）。 First, the determination unit 32 determines whether the execution time acquired by the acquisition unit 24 is not included in a range corresponding to any cluster (S1101). The determination unit 32 determines that the acquired execution time is not included in the range corresponding to the cluster if the acquired execution time is not included in the range equal to or smaller than the maximum value and the minimum value of each cluster (Yes in S1101). In addition, the determination unit 32 is included in the range corresponding to the cluster if the acquired execution time is included in the range below the maximum value and the minimum value of any cluster stored by the cluster storage unit 28. (No in S1101).

次に、取得された実行時間がいずれのクラスタに対応する範囲に含まれていることを条件として（Ｓ１１０１のＮｏ）、クラスタ生成部２６は、対応するクラスタの平均値を更新する（Ｓ１１０２）。なお、この場合において、クラスタ生成部２６は、対応するクラスタの最大値および最小値を更新しなくてよい。 Next, on condition that the acquired execution time is included in the range corresponding to any cluster (No in S1101), the cluster generation unit 26 updates the average value of the corresponding cluster (S1102). In this case, the cluster generation unit 26 does not have to update the maximum value and the minimum value of the corresponding cluster.

例えば図８に示すように、クラスタ生成部２６は、取得された当該実行時間を含め、クラスタＣ１に属する複数の実行時間の新たな平均値を算出し、当該クラスタＣ１の平均値を更新する。クラスタ生成部２６は、このように対応するクラスタの平均値を更新することにより、隣接する２つのクラスタを結合して１つのクラスタとするか否かを、正確に判断させることができる。そして、クラスタ生成部２６は、ステップＳ１１０２を終えると処理をステップＳ１１０５に進める。 For example, as shown in FIG. 8, the cluster generation unit 26 calculates a new average value of a plurality of execution times belonging to the cluster C1, including the acquired execution time, and updates the average value of the cluster C1. By updating the average value of the corresponding clusters as described above, the cluster generation unit 26 can accurately determine whether two adjacent clusters are combined into one cluster. And the cluster production | generation part 26 advances a process to step S1105, after finishing step S1102.

次に、クラスタ生成部２６は、特異な動作が行われたと判定部３２により判定されたことに応じて、新たなクラスタを生成する（Ｓ１１０４）。クラスタ生成部２６により新たなクラスタが生成された場合、クラスタ記憶部２８は、当該新たなクラスタに属する実行時間の最大値、最小値、平均値および採取回数を記憶する。 Next, the cluster generation unit 26 generates a new cluster in response to the determination by the determination unit 32 that a specific operation has been performed (S1104). When a new cluster is generated by the cluster generation unit 26, the cluster storage unit 28 stores the maximum value, minimum value, average value, and number of collection times of the execution time belonging to the new cluster.

例えば、図９に示すように、クラスタＣ１およびクラスタＣ２のいずれにも属さない実行時間が取得されたことにより特異な動作が行われたと判定された場合、クラスタ生成部２６は、取得された当該実行時間が属する新たなクラスタＣ３を生成する。当該新たなクラスタＣ３は、生成された直後においては、当該クラスタＣ３に属する実行時間が１つである。従って、クラスタ記憶部２８は、新たなクラスタＣ３に属する実行時間の採取回数として１を記憶するとともに、同じ値の最大値、最小値および平均値を記憶する。 For example, as illustrated in FIG. 9, when it is determined that a specific operation has been performed by acquiring an execution time that does not belong to either the cluster C1 or the cluster C2, the cluster generation unit 26 A new cluster C3 to which the execution time belongs is generated. Immediately after the new cluster C3 is generated, the execution time belonging to the cluster C3 is one. Accordingly, the cluster storage unit 28 stores 1 as the number of times of execution time belonging to the new cluster C3, and stores the maximum value, the minimum value, and the average value of the same value.

クラスタ生成部２６は、このように新たなクラスタを生成することにより、以後、同様な実行時間が採取された場合であっても、特異な動作として判定をさせず、同様な動作時における内部状態の重複保存を防止することができる。そして、クラスタ生成部２６は、ステップＳ１１０４を終えると処理をステップＳ１１０５に進める。 Since the cluster generation unit 26 generates a new cluster in this way, even if a similar execution time is collected thereafter, the cluster generation unit 26 does not make a determination as a peculiar operation, and the internal state at the same operation time. Can be prevented from being duplicated. And the cluster production | generation part 26 advances a process to step S1105, after finishing step S1104.

次に、クラスタマージ部３０は、２つのクラスタを結合して１つのクラスタとするか否かを判断する（Ｓ１１０５）。クラスタマージ部３０は、一例として、平均値をクラスタの実行時間として用いて、一のクラスタと一のクラスタに隣接するクラスタの間の実行時間の差が、一のクラスタと他の各クラスタの間の実行時間の差の最大値に対して基準比率未満となったことに応じて、当該２つのクラスタを結合して１つのクラスタとすると判断してよい。 Next, the cluster merge unit 30 determines whether or not two clusters are combined into one cluster (S1105). For example, the cluster merge unit 30 uses the average value as the execution time of the cluster, and the difference in execution time between one cluster and a cluster adjacent to the one cluster is different between one cluster and each other cluster. The two clusters may be determined to be combined into one cluster in response to being less than the reference ratio with respect to the maximum difference in execution time.

例えば、図１０に示すように、クラスタマージ部３０は、クラスタＣ２と当該クラスタＣ２に隣接するクラスタＣ１との間の実行時間の差（平均値同士の距離ｄ_ａｂ）、および、当該クラスタＣ２と他のクラスタの間の実行時間の差（平均値同士の距離）の最大値（例えば、クラスタＣ２とクラスタＣ３との平均値の距離ｄ_ｂｃ）を算出する。次に、クラスタマージ部３０は、距離ｄ_ａｂが、距離ｄ_ｂｃに基準比率ｐを乗じた値（ｐ×ｄ_ｂｃ）未満となったか否かを判定する。ここで、ｐは、１未満の値であり、例えば０．１等の予め定められた値である。そして、クラスタマージ部３０は、距離ｄ_ａｂが、距離ｄ_ｂｃに基準比率ｐを乗じた値（ｐ×ｄ_ｂｃ）未満となった場合、クラスタＣ２とクラスタＣ１とを結合すべきと判断してよい。 For example, as illustrated in FIG. 10, the cluster merge unit 30 performs a difference in execution time (average distance d _ab ) between the cluster C2 and the cluster C1 adjacent to the cluster C2, and the cluster C2 The maximum value (for example, the distance d _bc between the average values of the cluster C2 and the cluster C3) of the difference in execution time between the other clusters (the distance between the average values) is calculated. Next, the cluster merge unit 30 determines whether or not the distance d _ab is less than a value (p × d _bc ) obtained by multiplying the distance d _bc by the reference ratio p. Here, p is a value less than 1, for example, a predetermined value such as 0.1. Then, when the distance d _ab is less than the value (p × d _bc ) obtained by multiplying the distance d _bc by the reference ratio p, the cluster merge unit 30 determines that the cluster C2 and the cluster C1 should be combined. Good.

また、クラスタマージ部３０は、平均値に代えて、最大値または最小値を実行時間として用いてもよい。すなわち、クラスタマージ部３０は、一のクラスタと一のクラスタに隣接するクラスタの間の最大値または最小値同士の差が、一のクラスタと他の各クラスタの間の最大値または最小値同士の差の最大値に対して基準比率未満となったか否かを判断してよい。また、クラスタマージ部３０は、一のクラスタと当該一のクラスタに隣接するクラスタの間の実行時間の差、および、一のクラスタと他のクラスタの間の実行時間の差として、実行時間が大きい側のクラスタにおける最小値と、実行時間の小さい側のクラスタにおける最小値とを算出してもよい。 Further, the cluster merge unit 30 may use the maximum value or the minimum value as the execution time instead of the average value. That is, the cluster merge unit 30 determines that the difference between the maximum value or the minimum value between one cluster and a cluster adjacent to the one cluster is the difference between the maximum value or the minimum value between one cluster and each other cluster. It may be determined whether or not the maximum difference is less than the reference ratio. Further, the cluster merge unit 30 has a large execution time as a difference in execution time between one cluster and a cluster adjacent to the one cluster, and a difference in execution time between one cluster and another cluster. The minimum value in the cluster on the side and the minimum value in the cluster on the side with a shorter execution time may be calculated.

また、以上に代えて、クラスタマージ部３０は、２つのクラスタの間の実行時間の差が、予め定められた基準差未満となったことに応じて、当該２つのクラスタを結合して１つのクラスタとしてもよい。この場合においても、クラスタマージ部３０は、クラスタの実行時間として、最大値、最小値または平均値のいずれかを用いてよい。また、この場合においても、クラスタマージ部３０は、一のクラスタと当該一のクラスタに隣接するクラスタの間の実行時間の差、および、一のクラスタと他のクラスタの間の実行時間の差として、実行時間が大きい側のクラスタにおける最小値と、実行時間の小さい側のクラスタにおける最小値とを算出してもよい。 In addition, instead of the above, the cluster merge unit 30 combines the two clusters in response to the difference in execution time between the two clusters being less than a predetermined reference difference, It is good also as a cluster. Also in this case, the cluster merge unit 30 may use any one of the maximum value, the minimum value, and the average value as the cluster execution time. Also in this case, the cluster merge unit 30 determines the difference in execution time between one cluster and a cluster adjacent to the one cluster, and the difference in execution time between one cluster and another cluster. The minimum value in the cluster on the longer execution time side and the minimum value in the cluster on the shorter execution time side may be calculated.

これによりクラスタマージ部３０によれば、一のクラスタの実行時間と当該一のクラスタに隣接するクラスタと実行時間とが予め定められた値よりも近接したことを適切に判定して、近接したクラスタ同士を適切に結合することができる。クラスタマージ部３０は、２つのクラスタを結合して１つのクラスタとしないと判断した場合には当該ステップＳ１１０１〜Ｓ１１０６の処理を終了する（Ｓ１１０５のＮｏ）。クラスタマージ部３０は、２つのクラスタを結合して１つのクラスタとすると判断した場合には、処理をステップＳ１１０６に進める。 As a result, the cluster merge unit 30 appropriately determines that the execution time of one cluster, the cluster adjacent to the one cluster, and the execution time are closer than a predetermined value. The two can be appropriately combined. If the cluster merge unit 30 determines that the two clusters are not combined into one cluster, the process of steps S1101 to S1106 ends (No in S1105). If the cluster merge unit 30 determines that two clusters are combined into one cluster, the process proceeds to step S1106.

次に、ステップＳ１１０５においてＹｅｓの場合、クラスタマージ部３０は、結合すべき２つのクラスタ（例えば、第１のクラスタおよび第２のクラスタ）を結合して新たなクラスタを生成する（Ｓ１１０６）。例えば、図１０に示すように、クラスタマージ部３０は、結合すべきと判断された第１のクラスタＣ１および第２のクラスタＣ２を結合して、新たなクラスタＣ４を生成する。 Next, in the case of Yes in step S1105, the cluster merge unit 30 combines two clusters to be combined (for example, the first cluster and the second cluster) to generate a new cluster (S1106). For example, as illustrated in FIG. 10, the cluster merge unit 30 combines the first cluster C1 and the second cluster C2 that are determined to be combined to generate a new cluster C4.

さらに、クラスタマージ部３０は、新たなクラスタについての、実行時間の最大値、最小値、平均値および採取回数を生成し、クラスタ記憶部２８に記憶させる。クラスタマージ部３０は、新たなクラスタの最大値を、第１のクラスタおよび第２のクラスタのうちの実行時間が大きい側のクラスタにおける最大値とする。また、クラスタマージ部３０は、新たなクラスタの最小値を、第１のクラスタおよび第２のクラスタのうちの実行時間が小さい側のクラスタにおける最小値とする。これにより、クラスタマージ部３０は、個々の実行時間を記憶しておかなくてもよく、高速に新たなクラスタの実行時間の平均値を求めることができる。 Further, the cluster merge unit 30 generates the maximum value, minimum value, average value, and number of collection times of the execution time for the new cluster, and stores them in the cluster storage unit 28. The cluster merge unit 30 sets the maximum value of the new cluster as the maximum value in the cluster having the longer execution time of the first cluster and the second cluster. In addition, the cluster merge unit 30 sets the minimum value of the new cluster as the minimum value of the first cluster and the second cluster having the shorter execution time. As a result, the cluster merge unit 30 does not need to store individual execution times, and can obtain an average value of new cluster execution times at high speed.

さらに、クラスタマージ部３０は、新たなクラスタの平均値および採取回数を、第１のクラスタおよび第２のクラスタの実行時間に基づき生成する。クラスタマージ部３０は、一例として、第１のクラスタの採取回数と平均値との乗算結果と、第２のクラスタの採取回数と平均値との乗算結果とを加算する。そして、クラスタマージ部３０は、加算結果を、第１のクラスタの採取回数と第２のクラスタの採取回数との合計により除算した値を、新たなクラスタの平均値としてよい。また、クラスタマージ部３０は、第１のクラスタの採取回数と、第２のクラスタの採取回数との和を、新たなクラスタの採取回数としてよい。 Furthermore, the cluster merge unit 30 generates an average value and the number of collections of new clusters based on the execution times of the first cluster and the second cluster. For example, the cluster merge unit 30 adds the multiplication result of the number of times of collection of the first cluster and the average value and the result of multiplication of the number of times of collection of the second cluster and the average value. Then, the cluster merge unit 30 may set a value obtained by dividing the addition result by the sum of the number of times of collecting the first cluster and the number of times of collecting the second cluster as the average value of the new cluster. Further, the cluster merge unit 30 may set the sum of the number of times of collecting the first cluster and the number of times of collecting the second cluster as the number of times of collecting a new cluster.

以上の処理を実行することにより、検出装置１０によれば、順次に取得される監視対象タスク１１０の実行時間に応じてクラスタを結合しながら、特異な動作が行われたか否かを判定することができる。検出装置１０は、以上のステップＳ１１０１〜ステップＳ１１０６の処理を学習期間（または学習回数）の経過後に実行してよい。また、検出装置１０は、学習期間（または学習回数）の経過前に、ステップＳ１１０３を除いたステップＳ１１０１〜ステップＳ１１０６の処理を実行して、クラスタを生成してもよい。 By executing the above processing, the detection apparatus 10 determines whether or not a specific operation has been performed while combining clusters according to the execution time of the monitoring target tasks 110 acquired sequentially. Can do. The detection apparatus 10 may execute the processes in steps S1101 to S1106 described above after the learning period (or the number of learning times) has elapsed. Further, the detection apparatus 10 may generate a cluster by performing the processing of steps S1101 to S1106 excluding step S1103 before the learning period (or the number of learning times) has elapsed.

なお、判定部３２は、取得された実行時間がクラスタに対応する範囲に含まれていると判断した場合であっても（Ｓ１１０１のＮｏ）、新たにクラスタが生成されてから当該クラスタの範囲に属する実行時間の数回については、特異な動作が行われたと判定してもよい。すなわち、判定部３２は、クラスタ生成部２６が新たなクラスタを生成した後に新たに実行された監視対象タスク１１０の実行時間が新たなクラスタに対応する範囲に含まれ、かつ、新たなクラスタに属する実行時間が取得された回数が予め定められた回数未満であることを条件として、監視対象タスク１１０の実行において特異な動作が行われたと更に判定してもよい。これにより、検出装置１０によれば、特異な動作が行われた点の近傍における情報処理装置１００の検証およびデバック等をすることができる。 Even when the determination unit 32 determines that the acquired execution time is included in the range corresponding to the cluster (No in S1101), the determination unit 32 enters the range of the cluster after a new cluster is generated. It may be determined that a specific operation has been performed for several execution times to which it belongs. That is, the determination unit 32 includes the execution time of the monitoring target task 110 newly executed after the cluster generation unit 26 generates a new cluster within the range corresponding to the new cluster, and belongs to the new cluster. It may be further determined that a specific operation has been performed in the execution of the monitoring target task 110 on the condition that the number of times the execution time has been acquired is less than a predetermined number. Thereby, according to the detection apparatus 10, the information processing apparatus 100 can be verified and debugged in the vicinity of the point where the specific operation is performed.

図１１は、本実施形態の変形例に係るシステム２００の構成を示す。システム２００は、情報処理装置１００と、検出装置１０とを備える。情報処理装置１００および検出装置１０は、それぞれ、図１に示した情報処理装置１００および検出装置１０と略同一の構成および機能を有するので、以下相違点を除き詳細な説明を省略する。 FIG. 11 shows a configuration of a system 200 according to a modification example of the present embodiment. The system 200 includes an information processing device 100 and a detection device 10. Since the information processing apparatus 100 and the detection apparatus 10 have substantially the same configuration and function as the information processing apparatus 100 and the detection apparatus 10 shown in FIG. 1, detailed description will be omitted except for the following differences.

情報処理装置１００および検出装置１０は、一つの装置内に組み込まれる。情報処理装置１００および検出装置１０は、一例として、１つのＩＣチップ、１つのモジュールまたは１つの基板上に実装されてよい。また、検出装置１０は、情報処理装置１００がプログラムを実行することにより実現されてもよい。すなわち、情報処理装置１００は、検出装置１０を実現するためのプログラムおよび監視対象タスク１１０を並列に実行してよい。以上に示す変形例によれば、システム２００自体に検出装置１０を組み込むので、検証時およびデバック時におけるシステム２００に対する検出装置１０の接続処理等を省略でき、簡易に検証およびデバック等をすることができる。 The information processing apparatus 100 and the detection apparatus 10 are incorporated in one apparatus. For example, the information processing apparatus 100 and the detection apparatus 10 may be mounted on one IC chip, one module, or one substrate. Further, the detection device 10 may be realized by the information processing device 100 executing a program. That is, the information processing apparatus 100 may execute a program for realizing the detection apparatus 10 and the monitoring target task 110 in parallel. According to the modified example described above, since the detection device 10 is incorporated in the system 200 itself, connection processing of the detection device 10 to the system 200 at the time of verification and debugging can be omitted, and verification and debugging can be easily performed. it can.

また、他の変形例に係るシステムは、１つの情報処理装置１００と、複数の検出装置１０とを備えてよい。複数の検出装置１０のそれぞれは、同一の監視対象タスク１１０について互いに異なる実行についての実行時間を検出して、特異な動作が行われたかを判定する。例えば、当該システムにおいて、複数の検出装置１０が１つずつ順番に監視対象タスク１１０の実行時間を検出して、それぞれの実行において特異な動作が行われたかを判定してよい。これにより、当該他の変形例に係るシステムによれば、検証装置１０の処理速度に対して監視対象タスク１１０の実行回数が相対的に多い場合であっても、全ての実行についてリアルタイムで特異な動作が行われたことの判定を行うことができる。 In addition, a system according to another modification may include one information processing apparatus 100 and a plurality of detection apparatuses 10. Each of the plurality of detection devices 10 detects execution times for different executions of the same monitoring target task 110 and determines whether or not a specific operation has been performed. For example, in the system, the plurality of detection devices 10 may detect the execution time of the monitoring target task 110 one by one in order, and determine whether a specific operation has been performed in each execution. Thereby, according to the system according to the other modification, even if the number of executions of the monitoring target task 110 is relatively large with respect to the processing speed of the verification device 10, all the executions are unique in real time. It can be determined that the operation has been performed.

図１２は、本発明の実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。本実施形態に係るコンピュータ１９００は、ホスト・コントローラ２０８２により相互に接続される命令処理装置であるＣＰＵ２０００、ＲＡＭ２０２０、グラフィック・コントローラ２０７５、及び表示装置２０８０を有するＣＰＵ周辺部と、入出力コントローラ２０８４によりホスト・コントローラ２０８２に接続される入力装置２０２５、通信インターフェイス２０３０、ハードディスクドライブ２０４０、及びＣＤ−ＲＯＭドライブ２０６０を有する入出力部と、入出力コントローラ２０８４に接続されるＲＯＭ２０１０、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０を有するレガシー入出力部とを備える。 FIG. 12 shows an example of a hardware configuration of a computer 1900 according to the embodiment of the present invention. A computer 1900 according to this embodiment includes a CPU peripheral unit having a CPU 2000, a RAM 2020, a graphic controller 2075, and a display device 2080, which are instruction processing devices connected to each other by a host controller 2082, and a host by an input / output controller 2084. An input / output unit having an input device 2025 connected to the controller 2082, a communication interface 2030, a hard disk drive 2040, and a CD-ROM drive 2060, a ROM 2010 connected to the input / output controller 2084, a flexible disk drive 2050, and an input A legacy input / output unit having an output chip 2070.

ホスト・コントローラ２０８２は、ＲＡＭ２０２０と、高い転送レートでＲＡＭ２０２０をアクセスするＣＰＵ２０００及びグラフィック・コントローラ２０７５とを接続する。ＣＰＵ２０００は、ＲＯＭ２０１０及びＲＡＭ２０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィック・コントローラ２０７５は、ＣＰＵ２０００等がＲＡＭ２０２０内に設けたフレーム・バッファ上に生成する画像データを取得し、表示装置２０８０上に表示させる。これに代えて、グラフィック・コントローラ２０７５は、ＣＰＵ２０００等が生成する画像データを格納するフレーム・バッファを、内部に含んでもよい。 The host controller 2082 connects the RAM 2020 to the CPU 2000 and the graphic controller 2075 that access the RAM 2020 at a high transfer rate. The CPU 2000 operates based on programs stored in the ROM 2010 and the RAM 2020 and controls each unit. The graphic controller 2075 acquires image data generated by the CPU 2000 or the like on a frame buffer provided in the RAM 2020 and displays it on the display device 2080. Instead of this, the graphic controller 2075 may include a frame buffer for storing image data generated by the CPU 2000 or the like.

入出力コントローラ２０８４は、ホスト・コントローラ２０８２と、他の装置から情報を入力する入力装置２０２５、比較的高速な入出力装置である通信インターフェイス２０３０、ハードディスクドライブ２０４０、ＣＤ−ＲＯＭドライブ２０６０を接続する。通信インターフェイス２０３０は、ネットワークを介して他の装置と通信する。ハードディスクドライブ２０４０は、コンピュータ１９００内のＣＰＵ２０００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ２０６０は、ＣＤ−ＲＯＭ２０９５からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。 The input / output controller 2084 connects the host controller 2082 to an input device 2025 for inputting information from another device, a communication interface 2030 which is a relatively high-speed input / output device, a hard disk drive 2040, and a CD-ROM drive 2060. The communication interface 2030 communicates with other devices via a network. The hard disk drive 2040 stores programs and data used by the CPU 2000 in the computer 1900. The CD-ROM drive 2060 reads a program or data from the CD-ROM 2095 and provides it to the hard disk drive 2040 via the RAM 2020.

また、入出力コントローラ２０８４には、ＲＯＭ２０１０と、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０の比較的低速な入出力装置とが接続される。ＲＯＭ２０１０は、コンピュータ１９００が起動時に実行するブート・プログラムや、コンピュータ１９００のハードウェアに依存するプログラム等を格納する。フレキシブルディスク・ドライブ２０５０は、フレキシブルディスク２０９０からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。入出力チップ２０７０は、フレキシブルディスク・ドライブ２０５０や、例えばパラレル・ポート、シリアル・ポート、キーボード・ポート、マウス・ポート等を介して各種の入出力装置を接続する。 The input / output controller 2084 is connected to the ROM 2010, the flexible disk drive 2050, and the relatively low-speed input / output device of the input / output chip 2070. The ROM 2010 stores a boot program that the computer 1900 executes at startup, a program that depends on the hardware of the computer 1900, and the like. The flexible disk drive 2050 reads a program or data from the flexible disk 2090 and provides it to the hard disk drive 2040 via the RAM 2020. The input / output chip 2070 connects various input / output devices via a flexible disk drive 2050 and, for example, a parallel port, a serial port, a keyboard port, a mouse port, and the like.

ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供されるプログラムは、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、記録媒体から読み出され、ＲＡＭ２０２０を介してコンピュータ１９００内のハードディスクドライブ２０４０にインストールされ、ＣＰＵ２０００において実行される。 A program provided to the hard disk drive 2040 via the RAM 2020 is stored in a recording medium such as the flexible disk 2090, the CD-ROM 2095, or an IC card and provided by the user. The program is read from the recording medium, installed in the hard disk drive 2040 in the computer 1900 via the RAM 2020, and executed by the CPU 2000.

コンピュータ１９００にインストールされ、コンピュータ１９００を検出装置１０として機能させるプログラムは、検出モジュールと、取得モジュールと、クラスタ生成モジュールと、クラスタ記憶モジュールと、クラスタマージモジュールと、判定モジュールとを備える。コンピュータ１９００を検出装置１０として機能させるプログラムは、情報処理装置１００とは異なる他の情報処理装置（コンピュータ１９００）により実行されてもよいし、情報処理装置１００（コンピュータ１９００）自体により実行されてもよい。 A program installed in the computer 1900 and causing the computer 1900 to function as the detection device 10 includes a detection module, an acquisition module, a cluster generation module, a cluster storage module, a cluster merge module, and a determination module. A program that causes the computer 1900 to function as the detection apparatus 10 may be executed by another information processing apparatus (computer 1900) different from the information processing apparatus 100, or may be executed by the information processing apparatus 100 (computer 1900) itself. Good.

これらのプログラム又はモジュールは、ＣＰＵ２０００等に働きかけて、コンピュータ１９００を、検出部２２、取得部２４、クラスタ生成部２６、クラスタ記憶部２８、クラスタマージ部３０、判定部３２としてそれぞれ機能させる。より詳しくは、これらのプログラム又はモジュールは、入力装置２０２５等の入力装置を検出部２２として機能させ、ＲＡＭ２０２０またはハードディスクドライブ２０４０等の記憶装置をクラスタ記憶部２８として機能させ、ＣＰＵ２０００を取得部２４、クラスタ生成部２６、クラスタマージ部３０および判定部３２として機能させる。 These programs or modules work on the CPU 2000 or the like to cause the computer 1900 to function as the detection unit 22, the acquisition unit 24, the cluster generation unit 26, the cluster storage unit 28, the cluster merge unit 30, and the determination unit 32, respectively. More specifically, these programs or modules cause an input device such as the input device 2025 to function as the detection unit 22, cause a storage device such as the RAM 2020 or the hard disk drive 2040 to function as the cluster storage unit 28, and cause the CPU 2000 to acquire the acquisition unit 24, The cluster generation unit 26, the cluster merge unit 30, and the determination unit 32 function.

以上に示したプログラム又はモジュールは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５の他に、ＤＶＤやＣＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ１９００に提供してもよい。 The program or module shown above may be stored in an external storage medium. As the storage medium, in addition to the flexible disk 2090 and the CD-ROM 2095, an optical recording medium such as DVD or CD, a magneto-optical recording medium such as MO, a tape medium, a semiconductor memory such as an IC card, or the like can be used. Further, a storage device such as a hard disk or a RAM provided in a server system connected to a dedicated communication network or the Internet may be used as a recording medium, and the program may be provided to the computer 1900 via the network.

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。 As mentioned above, although this invention was demonstrated using embodiment, the technical scope of this invention is not limited to the range as described in the said embodiment. It will be apparent to those skilled in the art that various modifications or improvements can be added to the above-described embodiment. It is apparent from the scope of the claims that the embodiments added with such changes or improvements can be included in the technical scope of the present invention.

本発明の実施形態に係る検出装置１０の構成を情報処理装置１００とともに示す。The structure of the detection apparatus 10 which concerns on embodiment of this invention is shown with the information processing apparatus 100. FIG. 監視対象タスク１１０の実行時間の一例を示す。An example of the execution time of the monitoring target task 110 is shown. 実行時刻をＸ軸とし、実行時間をＹ軸とした２次元空間上に、情報処理装置１００上において複数回実行された監視対象タスク１１０の各実行時刻に対する実行時間の一例をプロットした図を示す。The figure which plotted an example of the execution time with respect to each execution time of the monitoring object task 110 performed in multiple times on the information processing apparatus 100 on the two-dimensional space which used the execution time as the X-axis and the execution time as the Y-axis. . 実行時刻をＸ軸とし、実行時間をＹ軸とした２次元空間上に、ある一つのクラスタＣｘに属する複数の実行時間をプロットした一例を示す。An example is shown in which a plurality of execution times belonging to a certain cluster Cx are plotted on a two-dimensional space with the execution time as the X-axis and the execution time as the Y-axis. 本実施形態に係るクラスタ生成部２６の構成の一例を示す。An example of a structure of the cluster production | generation part 26 which concerns on this embodiment is shown. 本実施形態に係る検出装置１０の処理フローを示す。The processing flow of the detection apparatus 10 which concerns on this embodiment is shown. 図６のステップＳ１００２における処理フローの詳細の一例を示す。An example of the details of the processing flow in step S1002 of FIG. 6 is shown. 図７のステップＳ１１０２における処理の一例を示す。An example of the process in step S1102 of FIG. 7 is shown. 図７のステップＳ１１０３およびＳ１１０４における処理の一例を示す。An example of processing in steps S1103 and S1104 in FIG. 7 will be described. 図７のステップＳ１１０５およびＳ１１０６における処理の一例を示す。An example of processing in steps S1105 and S1106 of FIG. 7 will be shown. 本実施形態の変形例に係るシステム２００の構成を示す。The structure of the system 200 which concerns on the modification of this embodiment is shown. 本発明の実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。2 shows an exemplary hardware configuration of a computer 1900 according to an embodiment of the present invention.

Explanation of symbols

１０検出装置
２２検出部
２４取得部
２６クラスタ生成部
２８クラスタ記憶部
３０クラスタマージ部
３２判定部
４２実行時間記憶部
４４分類部
１００情報処理装置
１１０監視対象タスク
２００システム
１９００コンピュータ
２０００ＣＰＵ
２０１０ＲＯＭ
２０２０ＲＡＭ
２０２５入力装置
２０３０通信インターフェイス
２０４０ハードディスクドライブ
２０５０フレキシブルディスク・ドライブ
２０６０ＣＤ−ＲＯＭドライブ
２０７０入出力チップ
２０７５グラフィック・コントローラ
２０８０表示装置
２０８２ホスト・コントローラ
２０８４入出力コントローラ
２０９０フレキシブルディスク
２０９５ＣＤ−ＲＯＭ DESCRIPTION OF SYMBOLS 10 Detection apparatus 22 Detection part 24 Acquisition part 26 Cluster generation part 28 Cluster storage part 30 Cluster merge part 32 Determination part 42 Execution time storage part 44 Classification part 100 Information processing apparatus 110 Monitoring object task 200 System 1900 Computer 2000 CPU
2010 ROM
2020 RAM
2025 Input device 2030 Communication interface 2040 Hard disk drive 2050 Flexible disk drive 2060 CD-ROM drive 2070 Input / output chip 2075 Graphic controller 2080 Display device 2082 Host controller 2084 Input / output controller 2090 Flexible disk 2095 CD-ROM

Claims

A detection device that detects whether or not a specific operation has been performed in execution of a monitoring target task on an information processing device,
The execution time of the monitored task that has already been executed is classified, the corresponding cluster corresponding to each of a plurality of clusters with the maximum execution time existing in the classification as the upper limit and the minimum execution time existing in the classification as the lower limit. A cluster storage unit that stores a range in which the maximum value of the execution time belonging to the upper limit and the minimum value of the execution time belonging to the cluster is a lower limit;
An acquisition unit for acquiring an execution time of the monitoring target task in response to the monitoring target task being newly executed on the information processing apparatus;
Judgment that an execution time of the newly executed monitoring target task is not included in the range corresponding to any of the clusters, and that a unique operation has been performed in the execution of the monitoring target task And
A detection device comprising:

The execution time collected during a predetermined period from the start of collection of the execution time of the monitoring target task, or the predetermined number of times since the start of collection of the execution time of the monitoring target task A cluster generation unit that classifies the execution time of minutes and generates at least one cluster;
The determination unit corresponds to the cluster generated by the cluster generation unit with respect to the execution time collected after elapse of the predetermined period or the execution time after the predetermined number of times. The detection device according to claim 1, wherein the detection device detects whether or not a specific operation has been performed in the execution of the monitoring target task on condition that the range is not included in the range.

The cluster generation unit
The execution time collected during a predetermined period from the start of collection of the execution time of the monitoring target task, or the predetermined number of times since the start of collection of the execution time of the monitoring target task An execution time storage unit for sequentially storing the execution time of minutes,
Each execution time collected during a predetermined period from the start of collection of the execution time of the monitored task, or predetermined after the start of collection of the execution time of the monitored task is started. The detection apparatus according to claim 2, further comprising: a classifying unit that classifies the execution times for a number of times into clusters.

The cluster generation unit generates a new cluster in response to the determination by the determination unit that a specific operation has been performed, and is determined not to be included in the range corresponding to any of the clusters The detection apparatus according to claim 2, wherein the execution time is classified into the new cluster.

The determination unit includes an execution time of the monitoring target task newly executed after the cluster generation unit generates the new cluster and is included in the range corresponding to the new cluster, and the new cluster A unique operation is performed in the execution of the monitoring target task newly executed after the new cluster is generated on the condition that the number of times the execution time belonging to is acquired is less than a predetermined number of times. The detection device according to claim 4, wherein the detection device is further determined to be that.

The difference in execution time between one cluster and a cluster adjacent to the one cluster is less than a predetermined reference ratio with respect to the maximum value of the difference in execution time between the one cluster and each of the other clusters. The detection apparatus according to claim 1, further comprising: a cluster merge unit that combines the one cluster and a cluster adjacent to the one cluster into one cluster in response to the fact.

The cluster storage unit stores the maximum value, minimum value, and average value of the execution time of the monitoring target task that has already been executed, corresponding to each cluster,
The cluster merge unit uses the maximum value, the minimum value, or the average value as the execution time of the cluster, and a difference in execution time between the one cluster and a cluster adjacent to the one cluster is: The detection device according to claim 6, wherein it is determined whether or not the maximum value of the difference in execution time between the one cluster and each of the other clusters is less than the reference ratio.

The cluster merge unit according to claim 1, further comprising a cluster merge unit that combines the two clusters into one cluster in response to the difference in execution time between the two clusters being less than a predetermined reference difference. The detection device described.

A system comprising: an information processing device; and a detection device that detects whether or not a specific operation has been performed in the execution of the monitoring target task on the information processing device,
The information processing apparatus executes the monitoring target task,
The detection device includes:
The execution time of the monitored task that has already been executed is classified, the execution belonging to the cluster corresponding to the cluster with the maximum execution time existing in the classification as the upper limit and the minimum execution time existing in the classification as the lower limit A cluster storage unit for storing a range having a maximum value of time as an upper limit and a minimum value of the execution time belonging to the cluster as a lower limit;
An acquisition unit for acquiring an execution time of the monitoring target task in response to the monitoring target task being newly executed on the information processing apparatus;
Judgment that an execution time of the newly executed monitoring target task is not included in the range corresponding to any of the clusters, and that a unique operation has been performed in the execution of the monitoring target task And
Having a system.

A program for detecting by the information processing apparatus or another information processing apparatus whether or not a specific operation has been performed in the execution of the monitoring target task on the information processing apparatus,
The information processing device or the other information processing device;
The execution time of the monitored task that has already been executed is classified, the corresponding cluster corresponding to each of a plurality of clusters with the maximum execution time existing in the classification as the upper limit and the minimum execution time existing in the classification as the lower limit. A cluster storage unit that stores a range in which the maximum value of the execution time belonging to the upper limit and the lower limit of the minimum value of the execution time belonging to the cluster are stored in a storage device included in the information processing apparatus or the other information processing apparatus; ,
An acquisition unit for acquiring an execution time of the monitoring target task in response to the monitoring target task being newly executed on the information processing apparatus;
Judgment that an execution time of the newly executed monitoring target task is not included in the range corresponding to any of the clusters, and that a unique operation has been performed in the execution of the monitoring target task A program that functions as a part.

A detection method for detecting whether or not a specific operation has been performed in execution of a monitoring target task on an information processing device by the information processing device or another information processing device,
The information processing device or the other information processing device classifies the execution time of the monitoring target task that has already been executed, the upper limit is the maximum execution time existing in the classification, and the lower limit is the minimum execution time existing in the classification In correspondence with each of a plurality of clusters, a range in which the maximum value of the execution time belonging to the cluster is the upper limit and the minimum value of the execution time belonging to the cluster is the lower limit is the information processing apparatus or the other information Memorize it in a storage device provided in the processing device,
In response to the newly executed monitoring target task on the information processing apparatus, the instruction processing device of the information processing apparatus or the other information processing apparatus acquires the execution time of the monitoring target task,
The instruction processing device of the information processing device or the other information processing device, provided that the execution time of the newly executed monitoring target task is not included in the range corresponding to any of the clusters, A detection method for determining that a specific operation has been performed in the execution of the monitored task.